Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Cara kerja enkripsi Amazon EBS
Anda dapat mengenkripsi volume boot dan data dari instans EC2.
Saat Anda membuat volume EBS terenkripsi dan melampirkannya ke tipe instans yang didukung, tipe data berikut dienkripsi:
-
Data diam di dalam volume
-
Semua data yang bergerak antara volume dan instans
-
Semua snapshot yang dibuat dari volume
-
Semua volume yang dibuat dari snapshot tersebut
Amazon EBS mengenkripsi volume Anda dengan kunci data menggunakan enkripsi data standar industri AES-256 . Kunci data dihasilkan oleh AWS KMS dan kemudian dienkripsi AWS KMS dengan AWS KMS kunci sebelum disimpan dengan informasi volume Anda. Amazon EBS secara otomatis membuat unik Kunci yang dikelola AWS di setiap Wilayah tempat Anda membuat sumber daya Amazon EBS. Alias untuk kunci KMS adalahaws/ebs. Secara default, Amazon EBS menggunakan kunci KMS ini untuk enkripsi. Atau, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan simetris yang Anda buat. Penggunaan kunci KMS sendiri akan memberikan Anda fleksibilitas yang lebih baik, termasuk kemampuan untuk membuat, memutar, dan menonaktifkan kunci KMS.
Amazon EC2 bekerja dengan AWS KMS untuk mengenkripsi dan mendekripsi volume EBS Anda dengan cara yang sedikit berbeda tergantung pada apakah snapshot tempat Anda membuat volume terenkripsi dienkripsi atau tidak.
Cara kerja enkripsi EBS saat snapshot dienkripsi
Saat Anda membuat volume terenkripsi dari snapshot terenkripsi yang Anda miliki, Amazon EC2 bekerja dengan AWS KMS untuk mengenkripsi dan mendekripsi volume EBS Anda sebagai berikut:
-
Amazon EC2 mengirimkan GenerateDataKeyWithoutPlaintext permintaan ke AWS KMS, menentukan kunci KMS yang Anda pilih untuk enkripsi volume.
-
Jika volume dienkripsi menggunakan kunci KMS yang sama dengan snapshot, AWS KMS gunakan kunci data yang sama dengan snapshot dan mengenkripsinya di bawah kunci KMS yang sama. Jika volume dienkripsi menggunakan kunci KMS yang berbeda, AWS KMS menghasilkan kunci data baru dan mengenkripsinya di bawah kunci KMS yang Anda tentukan. Kunci data terenkripsi dikirimkan ke Amazon EBS untuk disimpan dengan metadata volume.
-
Saat Anda melampirkan volume terenkripsi ke instans, Amazon EC2 mengirimkan CreateGrant permintaan AWS KMS agar dapat mendekripsi kunci data.
-
AWS KMS mendekripsi kunci data terenkripsi dan mengirimkan kunci data yang didekripsi ke Amazon EC2.
-
Amazon EC2 menggunakan kunci data plaintext di perangkat keras Nitro untuk mengenkripsi disk I/O ke volume. Kunci data teks biasa tetap ada di memori selama volumenya dipasang pada instans.
Cara kerja enkripsi EBS saat snapshot yang tidak terenkripsi
Ketika Anda membuat volume terenkripsi dari snapshot yang tidak terenkripsi yang Anda miliki, Amazon EC2 bekerja dengan AWS KMS untuk mengenkripsi dan mendekripsi volume EBS Anda sebagai berikut:
-
Amazon EC2 mengirimkan CreateGrant permintaan ke AWS KMS, sehingga dapat mengenkripsi volume yang dibuat dari snapshot.
-
Amazon EC2 mengirimkan GenerateDataKeyWithoutPlaintext permintaan ke AWS KMS, menentukan kunci KMS yang Anda pilih untuk enkripsi volume.
-
AWS KMS menghasilkan kunci data baru, mengenkripsinya di bawah kunci KMS yang Anda pilih untuk enkripsi volume, dan mengirimkan kunci data terenkripsi ke Amazon EBS untuk disimpan dengan metadata volume.
-
Amazon EC2 mengirimkan permintaan Decrypt AWS KMS untuk mendekripsi kunci data terenkripsi, yang kemudian digunakan untuk mengenkripsi data volume.
-
Saat Anda melampirkan volume terenkripsi ke instans, Amazon EC2 mengirimkan CreateGrant permintaan ke AWS KMS, sehingga dapat mendekripsi kunci data.
-
Saat Anda melampirkan volume terenkripsi ke instans, Amazon EC2 mengirimkan permintaan Dec rypt ke AWS KMS, menentukan kunci data terenkripsi.
-
AWS KMS mendekripsi kunci data terenkripsi dan mengirimkan kunci data yang didekripsi ke Amazon EC2.
-
Amazon EC2 menggunakan kunci data plaintext di perangkat keras Nitro untuk mengenkripsi disk I/O ke volume. Kunci data teks biasa tetap ada di memori selama volumenya dilampirkan pada instans.
Untuk informasi selengkapnya, lihat Cara Amazon Elastic Block Store (Amazon EBS) menggunakan AWS KMS dan Contoh dua Amazon EC2 dalam Panduan Developer AWS Key Management Service .
Bagaimana kunci KMS yang tidak dapat digunakan memengaruhi kunci data
Ketika kunci KMS menjadi tidak dapat digunakan, efeknya hampir seketika (tergantung pada konsistensi akhirnya). Status kunci dari perubahan kunci KMS untuk mencerminkan kondisi barunya, dan semua permintaan untuk menggunakan kunci KMS dalam operasi kriptografi gagal.
Saat Anda melakukan tindakan yang membuat kunci KMS tidak dapat digunakan, tidak akan ada efek langsung pada instans EC2 atau volume EBS yang dilampirkan. Amazon EC2 menggunakan kunci data, bukan kunci KMS, untuk mengenkripsi semua disk I/O saat volume terpasang ke instans.
Namun, saat volume EBS terenkripsi dicopot dari instans EC2, Amazon EBS menghapus kunci data dari perangkat keras Nitro. Pada saat volume EBS yang terenkripsi dilampirkan ke instans EC2, pelampiran akan gagal karena Amazon EBS tidak dapat menggunakan kunci KMS untuk mendekripsi kunci data terenkripsi dari volume tersebut. Untuk menggunakan volume EBS lagi, Anda harus membuat kunci KMS dapat digunakan lagi.
Tip
Jika Anda tidak lagi menginginkan akses ke data yang disimpan dalam volume EBS yang dienkripsi dengan kunci data yang dihasilkan dari kunci KMS yang ingin Anda buat agar tidak dapat digunakan, sebaiknya copot volume EBS dari instans EC2 sebelum Anda membuat kunci KMS tidak dapat digunakan.
Untuk informasi selengkapnya, lihat Bagaimana kunci KMS yang tidak dapat digunakan memengaruhi kunci data di Panduan Developer AWS Key Management Service .
